XSS2Shell : chaîne XSS pré-auth vers RCE sur WordPress Core (CVE-2026-64638) (cyberveille.ch)

Cet article détaille la découverte et l'exploitation complète d'une chaîne de vulnérabilités baptisée XSS2Shell, affectant WordPress Core dans toutes ses versions jusqu'à 7.0.3. La CVE associée est CVE-2026-64638. WordPress est utilisé par plus de 43 % des sites web, soit plus de 500 millions de sites potentiellement exposés. Le point d'entrée est wp-login.php.